Niedrige Vertrauensschwelle für KI-Agenten als dringende Anforderung

Unternehmen müssen die Zero-Trust-Sicherheitsarchitektur als sofortige Notwendigkeit für KI-Agenten betrachten und nicht als langfristiges Ziel, so Andre Durand, CEO und Gründer von Ping Identity.

Zero Trust, ein Sicherheitsmodell, das auf der Annahme basiert, dass kein Benutzer, kein Gerät und kein System automatisch vertrauenswürdig ist, erfordert eine kontinuierliche Verifizierung vor jeder Aktion, im Gegensatz zu herkömmlichen einmaligen Überprüfungen beim Einloggen. Der Aufstieg der agentenbasierten künstlichen Intelligenz hat die von Unternehmen zu bewältigende Risikoperiode drastisch verkürzt, was eine Echtzeit-Bewertung von Berechtigungsentscheidungen erfordert.

Durand betont, dass die aktuelle Nachfrage nach KI-Agenten und deren schnelle Arbeitsweise die dringende Notwendigkeit einer schnelleren Einführung von Zero-Trust-Prinzipien unterstreicht. Er vergleicht die Geschwindigkeit potenzieller Kompromittierungen: Ein menschlicher Verstoß kann sich über Minuten oder Stunden erstrecken, während ein Agent Tausende von Aktionen in nur wenigen Minuten ausführen könnte. Dieser Geschwindigkeitsunterschied verändert grundlegend, wie Unternehmen Berechtigungen handhaben müssen, wobei sowohl die Breite des gewährten Zugriffs als auch die Dauer dieses Zugriffs im Fokus stehen.

Im Gegensatz zum traditionellen Identitäts- und Zugriffsmanagement, das oft breite Berechtigungen gewährt und Sitzungen verlängert, befürwortet Zero Trust den Zugriff "gerade genug, gerade rechtzeitig". Dieses Modell beschränkt den Zugriff auf das absolut Notwendige und validiert ihn kontinuierlich. Durand hebt eine Verlagerung von der reinen Identitätsverwaltung als Laufzeitkontrollpunkt (Login-Status) hin zu einer Entscheidungsfindung mit kontinuierlicher Risikobewertung hervor. Er betont auch, dass Agenten eindeutige Identitäten besitzen sollten, anstatt menschliche Benutzer zu impersonieren oder Dienstkonten gemeinsam zu nutzen, um die Risiken im Zusammenhang mit gemeinsamen Geheimnissen und API-Schlüsseln zu mindern.

Die praktische Durchsetzung von Zero-Trust-Richtlinien kann an kritischen Punkten wie API-Gateways erfolgen, wo Agentenanfragen inspiziert und Richtlinienregeln in Echtzeit basierend auf Risiko- und Betrugssignalen angewendet werden können. Ziel ist es, die Autorisierung von einer einmaligen Entscheidung beim Einloggen zu einer fortlaufenden Bewertung für jede wesentliche Aktion zu verlagern. Dieser Ansatz verengt das Vertrauensfenster auf den Umfang einer einzelnen Aktion und verhindert, dass Agenten ihre eigenen Berechtigungen eskalieren oder Sicherheitsmaßnahmen umgehen.